Data Extortion 2026 beschreibt Erpressung, bei der Angreifer mit der Veröffentlichung gestohlener Daten drohen. Im Unterschied zur klassischen Ransomware müssen sie Dateien nicht zwingend verschlüsseln. Bereits die unerlaubte Kopie vertraulicher Dokumente kann erheblichen Druck auf Unternehmen ausüben. CISA weist in ihrem StopRansomware-Leitfaden darauf hin, dass manche Täter ausschließlich Daten exfiltrieren und mit deren Veröffentlichung drohen. Für die IT-Sicherheit verändert das die Prioritäten: Ein funktionierendes Backup löst das Verfügbarkeitsproblem, aber nicht den Verlust der Vertraulichkeit. Dieser Fachbeitrag erklärt typische Einfallstore, Exfiltrationsindikatoren, Datenklassifizierung, Netzwerküberwachung und die richtige Koordination eines Vorfalls.
Autor: Salman Dolatpanah Gortlar · GORTNET · 5. November 2026
Wichtig: Eine unabhängige Wiederherstellung schützt nicht vor der Veröffentlichung bereits gestohlener Daten.
Data Extortion 2026: Warum Verschlüsselung nicht mehr notwendig ist
Traditionelle Ransomware macht Dateien unzugänglich und verlangt Geld für die Wiederherstellung. Moderne Erpressung kann dagegen auf gestohlene Informationen setzen: Verträge, Personaldaten, Forschung, Kundendokumente oder interne Kommunikation. Für Angreifer kann die Drohung genügen, solche Inhalte zu veröffentlichen oder an Dritte weiterzugeben. Einige Kampagnen kombinieren beide Methoden als Double Extortion.
Für Unternehmen darf die Abwehr nicht erst beim Auftauchen einer Lösegeldnotiz beginnen. Eine Netzwerkverbindung, die unbemerkt große Datenmengen an ein fremdes Ziel überträgt, kann bereits eine erhebliche Sicherheitsverletzung darstellen. Prävention und Monitoring müssen deshalb auch ungewöhnliche Lesezugriffe und ausgehenden Datenverkehr erfassen. Backups bleiben notwendig, beantworten aber nur einen Teil des Risikos.
Welche Daten besonders häufig unter Druck setzen
Besonders kritisch sind personenbezogene Informationen, vertrauliche Verträge, Zugangsdaten, technische Produktdokumentation und Daten, deren Veröffentlichung Geschäftsbeziehungen oder Rechtspositionen beeinträchtigt. Der Wert hängt nicht allein von der Dateigröße ab. Eine kleine Tabelle mit geheimen Zugangsdaten kann größere Folgen haben als viele Gigabyte öffentlich zugänglicher Dateien.
Erstellen Sie eine Datenklassifizierung mit Schutzbedarf und Verantwortlichen. Nur wenn bekannt ist, wo wichtige Informationen liegen, lassen sich außergewöhnliche Abrufe erkennen. Verteilte Dateifreigaben, Cloud-Ordner, Backup-Kopien und Mailarchive gehören in die Betrachtung. Eine Datei darf nicht aus dem Sicherheitskonzept verschwinden, nur weil sie auf einem externen SaaS-Dienst gespeichert ist.
Typische Zugangswege für Datendiebstahl
Ein Angreifer kann über gestohlene Konten, kompromittierte VPN-Zugänge, verwundbare Anwendungen oder bösartige Drittanbieterintegrationen in eine Umgebung gelangen. In manchen Fällen genügt ein missbrauchter OAuth-Grant, der Zugriff auf bestimmte Microsoft-365-Inhalte erlaubt. Andere Vorfälle beginnen auf Entwicklergeräten oder unzureichend geschützten Servern. Der Einstieg ist nur der erste Schritt, denn wertvolle Daten müssen häufig zunächst gefunden und gesammelt werden.
Ein gutes Schutzkonzept verbindet starke Identitäten, minimale Berechtigungen und Netzwerksegmentierung. Achten Sie besonders auf Dienstkonten, die ohne fachlichen Grund sehr große Datenbestände lesen dürfen. Berechtigungen müssen nicht nur beim ersten Setup, sondern regelmäßig überprüft werden. Je geringer ein kompromittiertes Konto zugreifen kann, desto kleiner kann die mögliche Datenmenge eines Vorfalls ausfallen.
Wie Datenexfiltration technisch erkennbar wird
Auffällige Datenübertragungen können sich in Firewall-Logs, Proxy-Daten, DNS-Anfragen, Endpoint-Telemetrie oder Cloud-Auditlogs zeigen. Beispiele sind ungewöhnlich hohe Uploadvolumina, neue externe Ziele, massenhafte Dateiabrufe und Zugriffe außerhalb normaler Arbeitszeiten. Ein einzelnes Signal ist noch kein Beweis für Diebstahl; große legitime Backups oder Migrationsaufgaben können ähnlich wirken.
Verknüpfen Sie deshalb mehrere Quellen: Wer hat auf welche Daten zugegriffen, von welchem Gerät, in welchem Zeitraum und über welchen Ausgangspfad? Ein plötzlicher Anstieg bei Datei-Downloads zusammen mit einer neuen externen Verbindung ist relevanter als nur eine hohe Bandbreite. Definieren Sie technische Schwellen anhand echter Betriebsdaten und ergänzen Sie risikobasierte Ausnahmen für dokumentierte Wartungen.
Egress Monitoring und kontrollierte Netzwerkausgänge
Bei Egress Monitoring wird der ausgehende Verkehr einer Umgebung überwacht und gegebenenfalls auf bekannte notwendige Ziele beschränkt. Besonders für Server mit vertraulichen Daten kann eine restriktive Ausgangsregel sinnvoll sein. Nicht jeder Datenbankserver muss beliebige Cloud-Speicherdienste im Internet erreichen können. Die genaue Regel sollte aber fachlich begründet werden, damit automatische Updates, Backups und erforderliche APIs nicht unbeabsichtigt blockiert werden.
Testen Sie neue Ausgangsregeln zunächst anhand von Protokollen und einem kontrollierten Pilot. Dokumentieren Sie Zielbereiche, Datenfluss und Verantwortliche. Bei verschlüsseltem HTTPS-Verkehr ist nicht jeder Inhalt sichtbar; Metadaten, Volumen und Endpoint-Logs bleiben deshalb wichtig. Eine reine Firewallregel ohne zentrale Protokollierung und Reaktionsprozess kann schwer überprüfbar sein.
DLP: Datenverlustprävention mit realistischen Grenzen
Data Loss Prevention kann helfen, sensible Informationen zu klassifizieren und bestimmte Übertragungswege zu kontrollieren. Abhängig von Plattform und Lizenz können Richtlinien für E-Mail, Cloud-Speicher oder Endgeräte gelten. Eine DLP-Regel erkennt jedoch nicht jeden vertraulichen Inhalt und kann Fehlalarme erzeugen. Verschlüsselte Archive oder ungewöhnliche Dateiformate erschweren manche Prüfungen zusätzlich.
Beginnen Sie mit klar definierten Datentypen und beobachten Sie zunächst, welche Geschäftsprozesse betroffen wären. Passen Sie Regeln iterativ an und kombinieren Sie sie mit Rollen- und Gerätekontrollen. Ein Mitarbeiter, der legitime Daten exportieren muss, benötigt einen sicheren genehmigten Weg. Sonst entstehen Umgehungslösungen, die die Transparenz der Sicherheitsabteilung verschlechtern.
Cloud-Dienste, SharePoint und Unternehmensidentitäten
In Microsoft 365 und anderen Plattformen können große Dokumentbestände über Apps, Benutzerkonten und Freigabelinks zugänglich sein. Prüfen Sie externe Sharing-Richtlinien, privilegierte Apps und ungewöhnliche Downloadaktivitäten. Ein starkes Passwort allein reicht nicht, wenn breit berechtigte Service Principals oder längst vergessene Gastfreigaben bestehen.
Verwenden Sie Audit- und Berechtigungsberichte, um Konten mit ungewöhnlich umfangreichem Zugriff zu identifizieren. Bei Verdacht auf Missbrauch gehören OAuth-Berechtigungen, Sitzungstokens und externe Freigaben zur Untersuchung. Starke MFA, Conditional Access und Just-in-Time-Administration sind wichtige Bausteine, aber sie müssen an die tatsächlich genutzten Dienste angebunden sein.
Warum Backups trotzdem unverzichtbar bleiben
Ein unabhängiges, überprüftes Backup schützt vor Datenverlust und ermöglicht die Wiederherstellung nach Verschlüsselung oder Sabotage. Es verhindert allerdings nicht, dass bereits kopierte Dokumente bei einem Täter liegen. Ein Unternehmen muss deshalb die Verfügbarkeit und die Vertraulichkeit getrennt betrachten. Beide sind relevant, aber die geeigneten Sicherheitsmaßnahmen unterscheiden sich.
Die Backup-Architektur selbst kann Ziel eines Angriffs sein. Beschränken Sie administrative Rechte, schützen Sie Sicherungskopien vor unberechtigter Löschung und führen Sie regelmäßige Restore-Tests durch. Ein gutes Recovery-Verfahren begrenzt die technische Ausfallzeit, ersetzt aber nicht die Prüfung möglicherweise abgezogener Daten und etwaiger Benachrichtigungspflichten.
Erste Stunden nach einem vermuteten Datenabfluss
Bei begründetem Verdacht sollten Incident-Verantwortliche den Umfang des Zugriffs und die betroffenen Konten ermitteln. Verdächtige Sessions oder Tokens können nach einem abgestimmten Verfahren gesperrt und betroffene Geräte isoliert werden. Gleichzeitig müssen relevante Logs und Beweismittel erhalten bleiben. Unkoordinierte Löschungen können die spätere Rekonstruktion erschweren.
Trennen Sie technische Eindämmung, Forensik, Geschäftsfortführung und rechtliche Bewertung. Halten Sie die bekannten Fakten mit Zeitangaben fest und unterscheiden Sie bestätigte Abflüsse von bloßen Vermutungen. Datenschutzrechtliche Meldungen hängen vom konkreten Vorfall und den geltenden Vorgaben ab. Eine Veröffentlichung oder Lösegeldforderung sollte nicht ohne geeignete technische und rechtliche Beratung behandelt werden.
Meldung, Kommunikation und Vertrauensschutz
Ein Erpressungsvorfall betrifft nicht nur die IT. Geschäftsführung, Datenschutz, Rechtsberatung, Kundenkommunikation und möglicherweise Behörden müssen in den Prozess eingebunden werden. Die Verantwortlichen sollten früh wissen, welche Daten sicher betroffen sind, welche noch untersucht werden und wann die nächste Statusmeldung erfolgt. Unbelegte Zusicherungen können später zusätzlichen Schaden verursachen.
Bereiten Sie bereits vor einem Vorfall Kommunikationsvorlagen und Eskalationswege vor. Dazu gehört eine sichere Kontaktliste außerhalb möglicherweise kompromittierter IT-Systeme. Dokumentieren Sie die Entscheidung, wer mit Kunden und Dienstleistern spricht. Die Kommunikation sollte transparent und sachlich sein, ohne technische Details zu veröffentlichen, die laufende Eindämmungsmaßnahmen erschweren.
30-Tage-Sicherheitsplan gegen Data Extortion
Woche eins: Kritische Datenbestände, externe Freigaben und privilegierte Konten inventarisieren. Woche zwei: Egress- und Cloud-Audit-Telemetrie prüfen und sinnvolle Baselines definieren. Woche drei: Datenklassifizierung und DLP-Pilot mit klaren Ausnahmen erproben. Woche vier: Eine simulierte Erpressungsmeldung bearbeiten und die Fähigkeit testen, mögliche Datenzugriffe zeitlich zu rekonstruieren.
Messbare Ergebnisse sind etwa die Erkennbarkeit großer Exporte, der Anteil ungeprüfter externer Freigaben und die Zeit bis zur Sperrung eines gefährdeten Kontos. Ein Unternehmen, das Wiederherstellung und Datenabfluss zusammen denkt, ist besser auf unterschiedliche Angriffsformen vorbereitet als eines, das ausschließlich verschlüsselte Dateien erwartet.
Häufige Fragen zu Data Extortion 2026
Gibt es Ransomware-Erpressung ohne Dateiverschlüsselung?
Ja. Angreifer können ausschließlich Daten stehlen und mit deren Veröffentlichung drohen.
Hilft ein Backup gegen Data Extortion?
Es hilft bei Verfügbarkeit und Wiederherstellung, entfernt aber keine bereits entwendeten Daten.
Wie erkennt man einen Datenabfluss?
Durch Korrelation von Dateizugriffen, Identitäten, Cloud-Audits und ungewöhnlichen ausgehenden Netzwerkverbindungen.
Löst jeder große Upload einen Sicherheitsvorfall aus?
Nein. Legitime Geschäftsprozesse müssen bei der Bewertung berücksichtigt werden.
Fazit: Vertraulichkeit und Verfügbarkeit gemeinsam schützen
Data Extortion 2026 verlangt Datenklassifizierung, Identitätsschutz, Netzwerküberwachung und einen Incidentplan über Backups hinaus. Ein verlässlicher Schutz muss auch den stillen Abfluss sensibler Informationen berücksichtigen.
Weiterführende GORTNET-Beiträge
Für eine professionelle Prüfung von Datenzugriffen und Monitoring GORTNET kontaktieren.
Quellen und Leitlinien
Stand 5. November 2026. Technische Reaktionen und rechtliche Meldepflichten hängen vom Einzelfall ab.